Risiko: historisch gewachsenen Berechtigungen
Berechtigungsprüfungen
Rollen werden je nach Funktion der Mitarbeiter im Unternehmen zugewiesen und deren Gültigkeitsdauer je nach Aufgabe begrenzt. Rollenzuordnungen manuell in Benutzerstammsätzen aufzuräumen, ist sehr mühselig. Wir zeigen Ihnen, wie es einfacher geht. Mit der Zeit haben sich bei den Anwendern Ihres SAP-Systems viele Rollen im Benutzerstammsatz angesammelt. Diese Rollen haben unterschiedliche Gültigkeitszeiträume. Die Gültigkeit einiger Rollen ist bereits abgelaufen, und andere Rollen sind vielleicht mehrfach zugewiesen, weil ein Anwender z. B. mehrere Funktionen im Unternehmen übernimmt, bei denen zum Teil die gleichen Rollen zum Einsatz kommen. Nun suchen Sie nach einem einfachen Weg, um Rollenzuordnungen zu löschen, bei denen der Gültigkeitszeitraum abgelaufen ist, bzw. um mehrfach vergebene Rollenzuordnungen aufzuräumen.
Wenn Sie Referenzbenutzer verwenden möchten und Sie das Benutzermenü nutzen, sollten Sie zusätzlich dafür sorgen, dass die Anwender auch die den Referenzbenutzern zugeordneten Rollenmenüs sehen. Spielen Sie dafür die Korrekturen im SAP Hinweis 1947910 ein. Sie beinhalten zwei Schalter für das Customizing in der Tabelle SSM_CUST.
Unklare Zielvorgaben und fehlende Definition eigener Sicherheitsstandards
Das Rollenkonzept sieht vor, dass jeder Anwender nur die Aufgaben bearbeiten kann, zu denen er befugt ist. Die Entwicklung erfolgt abteilungsübergreifend und muss sensible Daten vor unbefugtem Zugriff schützen. Ein klares Rollenkonzept ermöglicht einen modularen Aufbau von Berechtigungen, ohne für jeden Benutzer eigene Rollen anlegen zu müssen.
Für den Transport von PFCG-Rollen mit ihren Profilen gibt es ebenfalls einen SAP-Hinweis: den Hinweis 1380203. Spielen Sie die Korrektur ein, ist es möglich, für die dritte und vierte Stelle des generierten Profilnamens eigene Positionen zur Definition zu verwenden. Im SAP-Standard setzt sich der Name eines generierten Profils wie folgt zusammen, wenn die System-ID z. B. ADG lautet: T-AG######. Unterscheiden sich Ihre anderen Quellsysteme nur an der zweiten Stelle der System-ID, ist aus dem Profilnamen nicht erkenntlich, aus welchem System die Profile eigentlich stammen.
Sollten Sie in die Situation geraten, dass Berechtigungen erforderlich sind, die nicht im Rollenkonzept berücksichtigt wurden, ermöglicht Ihnen "Shortcut for SAP systems" die Zuweisung der Komplettberechtigung für das jeweilige Berechtigungsobjekt.
Diese Kacheln haben keinen direkten GUI Zugriff, bzw. können direkt in der GUI Umgebung nicht genutzt werden.
Einige nützliche Tipps aus der Praxis zum Thema SAP Berechtigungen finden Sie auch auf der Seite www.sap-corner.de.
Auf diese Weise schließen Sie den Missbrauch durch modifizierte Kopien von ABAP-Programmen aus.